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Abstract of EP0996063 

Medical device has at least one module (12) with 
a circuit (24) specific to the function to be 
executed and for which at least one parameer 
can be altered and takes the form of a digital 
word of N bits. Circuitry within the registers is 
provided to ensure that the input parameter is not 
changed in an unforeseen manner. Each module 
comprises 3 or more N-bit volatile registers, a 
majority circuit with the register values as inputs 
and an operating parameter as output and 
comparison means for comparing register 
contents for any anomalies amongst the contents 
that might indicate a disagreement amongst 
them. 
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(54) Dispositif medical actif, comprenant des registres proteges pour I'ajustement numerique de 
parametres de fonctionnement 



(57) Ce dispositif comprend au moins un module 
(12) pour la mise en oeuvre d'une fonction du dispositif, 
ce module comportant un circuit (24) specifique a la 
fonction et dont un parametre est ajustable sous forme 
d'un mot num6rique de N bits. Chacun des modules 
comprend : au moins trois registres (28) de type volatil 
de N bits memorisant chacun ledit mot numerique ; un 
circuit majoritaire (30) recevant en entree les contenus 
des registres et delivrant en sortie au circuit specifique 
(24) la valeur resultante comme parametre d'ajuste- 
ment; et des moyens comparateurs (32, 36), pour com- 
parer les contenus respectifs des registres et produire 
un signal d'anomalie (IT n , IT 2 ... IT S ... IT k ) en cas de dis- 
cordance entre ces contenus, notamment un signal d'in- 
terruption applique a un microcontr6leur (10). II est en 
outre prevu des moyens de restauration du contenu du 
ou des registre(s) altere(s) en cas de discordance de- 
tected par les moyens comparateurs. 
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Description 

[0001] La presente invention concerne de facon ge- 
nerate les "dispositifs m6dicaux implantables adits" tels 
que definis par la directive 90/385/CEE du 20 juin 1 990 
du Conseil des communautes europeennes. II peut 
s'agir de dispositifs implantables — stimulateurs cardia- 
ques, defibrillateurs et/oucardioverteurs, appareilsneu- 
rologiques, pompes de diffusion de substances medica- 
les, implants cochleaires, etc. — ou non implantables, 
c'est-a-dire portes par le patient — notamment les en- 
registreurs Holter, c'est-a-dire les appareils permettant 
d'effectuer en continu et sur une (ongue periode I'enre- 
gistrement de signaux recueillis au moyen d'eiectrodes 
implantees ou d'eiectrodes externes. 
[0002] Dans ces dispositifs, comme dans de tres 
nombreux autres dispositifs electroniques, il est neces- 
saire de regler et de memoriser un certain nombre de 
parametres de fonctionnement. 
[0003] Parmi ces parametres, on trouve tout d'abord 
des parametres de nature technique, generalement 
ajustes en production au moment de la calibration de 
I'appareil (r6f erences de tension ou de courant, frequen- 
ce d'un oscillateur, gain d'amplificateurs, etc.). En effet, 
la conception des circuits du dispositif necessite sou- 
vent que le fonctionnement des circuits materiels soit 
ajuste" afin d'obtenir un comportement optimal. Ces 
ajustages peuvent etre realises de diverses facons, par 
exemple par ajustement de resistances par sablage ou 
gravure laser ; plus recemment, la generalisation des 
electroniques a capacites commutees et des trarte- 
ments numeriques a ramene le probleme de I'ajustage 
a I'obtention d'un code numerique sur N bits qui, une 
fois obtenu, est utilise via des convertisseurs numeri- 
que/analogique ou bten pour commander des commu- 
tateurs logiques d'une echelle de capacity, ou encore 
comme variable dans un logiciel. Unetelle technique est 
par exemple exposee dans le EP-A-0 661 657 (ELA Me- 
dical). 

[0004] D'autres parametres sont ajustes ulterieure- 
ment. 

[0005] Dans le cas particulier d'un dispositif medical 
actif implantable, certains parametres peuvent ainsi etre 
ajustes apres implantation par le praticien, par exemple 
pour adapter la prothese au patient d'un point de vue 
physiologique. Ces parametres conditionneront le com- 
portement des divers algorithmes du logiciel de com- 
mande du dispositif medical, par exemple pour la deii- 
vrance d'impulsions de stimulation ou de chocs de de- 
fibrillation dans le cas d'une prothese cardiaque. 
[0006] Ces divers parametres ont comme caract6ris- 
tique commune d'etre des parametres permanents 
(c'est-a-dire ajustes une fois pour toutes) ou quasi-per- 
manents, et d'etre definis sous forme de codes numeri- 
ques sur N bits (le nombre N de bits pouvant varier en 
fonction du parametre consid6r6). 
[0007] Ces codes num6riques sont done stockes 
dans des memoires permanentes, qui peuvent etre de 
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type ROM a fusibles, EPROM, E 2 PROM, flash ou en- 
core RAM sauvegardees. Chacun de ces types de me- 
moires possede ses avantages et inconv6nients pro- 
pres, et surtout une aptitude plus ou moins grande a 
5 conserver reformation de facon durable. La RAM, qui 
possede la plus grande facilite d'ecriture, presente aussi 
un risque plus grand de perte ou de corruption de re- 
formation sur des evenements rares, comme par exem- 
ple les impacts d'ions lourds telsque les particules alpha 
10 ou les parasites eiectriques susceptibles d'etre produits 
par exemple a la suite d'une exposition a un champ elec- 
tromagnetique impulsionnel de forte intensite. 
[0008] Les memoires de type ROM, EPROM, 
E 2 PROM ou flash sont, par nature, bien protegees con- 
's tre ces risques d'alteration, mais elles presentent, pour 
un dispositif medical actif, un double inconvenient : 

d'une part, du point de vue de la topologie des cir- 
cuits, ces memoires ne sont pas physiquement lo- 
20 calisees la ou la valeur qu'elles memorisent est uti- 
lisee, et par ailleurs sont organisees architecturale- 
ment d'une facon globale en plan memoire qui in- 
terdit I'acces individuel, direct et permanent a Tin- 
formation, alors que la fonction analogique ajustee 
25 a besoin de cette information en permanence ; 

en second lieu, la lecture de ces memoires consom- 
me de renergie, parametre critique pour les prothe- 
ses implantables et, plus generalement, pour les 
dispositifs portables alimentes par une pile, qui em- 
30 pechent un acces permanent a I'information d'eta- 
lonnage de la fonction analogique conservee dans 
ces memoires, pour des questions evidentes de 
consommation d'6nergie. 

35 [0009] Ces difficultes ont conduit a memoriser les in- 
formations en question dans des registres de type RAM 
ou bascules electroniques logiques, localises a I'inte- 
rieur du module qui les utilise, done topologiquement 
proche du lieu de la fonction qu'ils etalonnent, et lisibles 
40 en permanence et a tres faible consommation. 

[001 0] Ces registres etant par nature des registres vo- 
latils, ii faut tenir compte du risque d'effacement acci- 
dentel de la donn6e, avec deux probiemes : 

45 - surveillance de I'information conservee dans les re- 
gistres afin d'en controler Pintegrite, et ceci avec 
une consommation negligeable et de facon imme- 
diate ou quasi-immediate ; et 
correction, egalement immediate ou quasi-imme- 
50 diate, de la donn6e corrompue en cas d'alteration 
accidentelle. 

[0011] II a 6t6 propose divers systemes bases sur un 
codage redondant et/ou auto-correcteur de I'informa- 
55 tion, par exemple de type CRC ou analogue. 

[001 2] Mais cette technique presente le double incon- 
venient de n6cessiter une scrutation ou analyse quasi- 
permanente de I'information , impliquant done une con- 
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sommation d'energie importante, et d'autre part de I'ap- 
parition d'un 6tat ind&ermine de 1'information pendant 
le laps de temps separant la detection de I'erreur de sa 
correction, inconvenient qui n'est pas admissible dans 
le cas de dispositifs medicaux actifs tels que des stimu- s 
lateurs cardiaques, dans lesquels la continuity d'un 
fonctionnement correct doit etre assuree en toutes cir- 
constances. 

[001 3] L'invention apporte une solution a ces proble- 
mes, en proposant un dispositif medical actif compre- 10 
nant au moins un module pour la mise en oeuvre d'une 
fonction du dispositif, ce module comportant un circuit 
specif ique a la fonction et dont un parametre est ajus- 
table sous forme d'un mot numerique de N bits, dispo- 
sitif caracterise en ce que chacun desdits modules is 
comprend : au moins trois registres de type volatil de N 
bits memorisant chacun ledit mot numerique ; un circuit 
majoritaire recevant en entree les contenus des regis- 
tres et delivrant en sortie au circuit specifique la valeur 
resultante comme parametre d'ajustement; et des 20 
moyens comparateurs, pour comparer les contenus 
respectifs des registres et produire un signal d'anomalie 
en cas de discordance entre ces contenus. 
[0014] Lorsque le dispositif medical actif est un dis- 
positif a microcontroleur, le signal d'anomalie peut etre 25 
un signal d'interruption applique au microcontroleur ; en 
cas de plurality de modules, les signaux d'interruption 
respectifs sont appliques au microcontroleur via des 
moyens pour multiplexer, coder et gerer les priorites de 
ces interruptions. 30 
[0015] Tres avantageusement, il est prevu en outre 
des moyens de restauration du contenu du ou des re- 
gistre(s) altere(s) en cas de discordance detectee par 
les moyens comparateurs. Ces moyens peuvent notam- 
ment etre des moyens pour rechercher une valeur con- 35 
cordante entre une pluralite de registres et recopier cet- 
te valeur dans le registre atter6, ou encore, lorsque la 
valeur du parametre est egalement conservee dans une 
m£moire nonvolatile exterieure au module, des moyens 
pour recopier dans le registre altere, ou bien dans tous *o 
les registres, la valeur lue dans cette memoire non vo- 
latile exteneure. 

[0016] On va maintenant decrire un exemple de mise 
en oeuvre de l'invention, en reference aux dessins an- 
nexes. & 
[0017] La figure 1 represente, sous forme de schema 
par blocs, les principaux elements d'un dispositif medi- 
cal actif incorporant le circuit de surveillance et de cor- 
rection selon l'invention. 

[0018] La figure 2 montre plus en detail la structure 50 
de Tun des blocs r£f£renc£s 26 de la figure 1 . 
[001 9] Le dispositif medical actif se compose essen- 
tiellement d'un microcontroleur 10 et d'un ASIC 12 con- 
tenant les diverses fonctions a configurer par des regis- 
tres proteges. 55 
[0020] 1 1 peut eventuellement comporter une memoire 
de stockage non volatile 14 telle qu'une E 2 PROM, qui 
peut etre externe, comme illustre, ou bien interne au mi- 



crocontrdleur 1 0. 

[0021] Le microcontroleur 10 comporte, de maniere 
classique, une memoire mode ROM 1 6 et une memoire 
vive RAM 18, et il communique avec I'ASIC 12 et, le cas 
6ch6ant, l'E 2 PROM 1 4 par un bus d'adresses et de don- 
nSes 20 

[0022] II dispose par ailleurs d'une entree IT in 22 dont 
le role sera explique plus bas. 
[0023] L'ASIC 1 2 comporte un certain nombre de mo- 
dules 24 dont chacun correspond a une fonction parti- 
culiere dont un parametre est ajustable, par exemple : 

amplificateur a gain ajuste, 

oscillateur a frequence ajustee, 

chaine de traitement de I'acceleration, dans le cas 

d'un dispositif asservi, 

Stage de stimulation a configuration programmable 
(configuration des electrodes pour un stimulateur 
multisite, configuration des chocs a appliquer pour 
un defibrillateur). 

[0024] On peut egalement stocker de la meme facon 
des donnSes critiques pour le fonctionnement du dispo- 
sitif, par exemple le numerode modele, qui est une don- 
nee indispensable notamment a la reconnaissance du 
dispositif par un programmateur externe. 
[0025] Ces divers modules 24 sont chacun relies a un 
bloc 26 memorisant les N bits (N etant un nombre va- 
riable selon la fonction consid6ree) necessaires a I'ajus- 
tage du module 24. 

[0026] Les bits d'ajustage, organises en mots de N 
bits, sont stockes de facon triple dans des registres 
identiques 28, dont I'architecture est identique d'un bloc 
26 a I'autre, mais qui different en taille suivant le nombre 
N de bits d'ajustage correspondant au module 24 asso- 
cie (la figure 2 illustre ainsi un exemple de bloc 26 dans 
le cas ou N = 4). 

[0027] Le chiffre de trois pour le nombre de registres 
28 n'est pas limitatif, et un nombre supeVieur peut etre 
envisage, de preference (mais non necessairement) un 
nombre impair. 

[0028] Initialement, et dans les conditions normales 
de fonctionnement, les trois registres 28 d'un m£me bloc 
26 stockent la meme information. 
[0029] Chacun des bits de chacun des trois registres 
28 d'un meme bloc 26 est applique, d'une part, a Tune 
des trois entrees d'un circuit majoritaire respectif 30 et, 
d'autre part, a I'une des trois entrees d'une porte res- 
pective 32 r£alisant la fonction DIFFERENCE (sortie a 
'faux' si et seulement si les trois entrees sont identiques 
(toutes a '0' ou toutes a '1'), et sortie a Vrai' dans le cas 
contraire). 

[0030] Pour memoire, la table de verite d'un circuit 
majoritaire a trois entries A, B et C est la suivante : 



A 


B 


C 


Majority 


0 


0 


0 


0 
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(suite) 



A 


B 


c 


Majorite 


0 


0 


1 


0 


0 


1 


0 


0 


0 


1 


1 


1 


1 


0 


0 


o 


1 


0 


1 


1 


1 


1 


0 


1 


1 


1 


1 


1 



[0031] La table de verite d'un circuit DIFFERENCE a 
trois entrees A, B et C, quant a elle, est la suivante : 



A 


B 


c 


Difference 


0 


0 


0 


_ 0 


0 


0 


1 


1 


0 


1 


0 


1 


0 


1 


1 


1 


1 


0 


0 


1 


1 


0 


1 


1 


1 


1 


0 


1 


1 


1 


1 


0 



[0032] Les sorties des circuits majoritaires 30sont ap- 
pliques a un registre Reg_Adj 34 permettant I'ajustage 
de la fonction du module 24 associe au bloc 26 consi- 
der^. Ainsi, si une alteration survient sur Tun des trois 
registres 28, aucune consequence n'est vue par la fonc- 
tion ajustee. 

[0033] Ces circuits majoritaires garantissentdonc I'in- 
tegrite du systeme meme si Tun des registres vient a 
etre altere, car dans ce cas les deux autres registres 
resteront identiques et c'est leur valeur qui sera prise en 
compte par le circuit majoritaire 30, de sorte qu'aucune 
consequence de Alteration survenue ne soit vue par la 
fonction ajustee. 

[0034] Les portes DIFFERENCE 32, en comparant bit 
a bit les trois registres 28, surveillent que ces trois re- 
gistres 28 sont toujours identiques. Si tel est le cas (si- 
tuation normale) les portes 32 sont a I'etat inactif (la con- 
sommation est done nulle, bien que la surveillance soit 
permanente) ; dans le cas ou une difference apparaTt 
entre les trois registres sur Tun quelconque des bits, la 
fonction de la porte DIFFERENCE 32 correspondante 
passe a Petet actif , revelant ainsi {'alteration de Tun des 
registres. 

[0035] Le circuit va gerer la detection d'une telle alte- 
ration de la maniere suivante. 
[0036] Les sorties des portes DIFFERENCE 32 de 



chaque bloc 26 sont reliees a Tune des entrees d'une 
porte OU commune 36 a N entrees (autant d'entreds 
que de bits dans chacun des registres 28) produisant 
en sortie uri signal, permettant de v6hiculer une deman- 

5 de d'interruption en direction du microcontroleur. 
[0037] Ainsi, pour chaque fonction, un seul fil est ne- 
cessaire pour vehiculer la demande d'interruption pro- 
pre a I'ajustage du module correspondant, quel que soit 
le bit altere dans les trois registres 28. 

10 [0038] L'ensemble des demandes d'interruption IT,, 
IT 2 , ... est regroupe et traite par deux fonctions : 

une porte OU 38 a k entrees regroupe toutes les 
demandes d'interruption, et sa sortie est interfaced 
75 avec I'entree d'interruption 22 du microcontroleur 
10; 

un bloc 40 a k entries a pour fonction de calculer 
le numero de I'interruption qui s'est produite et Tech- 
re dans un registre Reg_Num 42 accessible en lec- 
20 ture dans le systeme global via le bus 20 ; si pi u- 
sieurs interruptions se produisent en meme temps, 
le bloc 40 memorise chacune des demandes et ins- 
crit dans le registre 42 le numero de interruption a 
traiter, en fonction de priorites predefines. 

25 

[0039] Le microcontroleur 1 0, sur reception d'une de- 
mande d'interruption IT jn 22, execute alors un program- 
me specifique qui peut etre contenu dans la ROM 1 6 ou 
la RAM 18 pour traiter le probleme de corruption de re- 
30 gistre qui vient de se produire. Pour savoir quel ajustage 
vient d'etre altere, il lui suffit de lire le registre Reg_Num 
42 pour obtenir son numero et done I'adresse du (des) 
registre(s) 28 altere(s). 

[0040] Deux modes operatoires peuvent etre prevus, 
35 suivant que le systeme possede ou non une unite de 
stockage non volatile 14 dans laquelle se trouvent 6ga- 
lement memorisees les valeurs des parametres d'ajus- 
tage. 

[0041] Dans un premier cas, en I'absence d'unite de 
40 stockage non volatile, e'est-a-dire si les valeurs des pa- 
rametres sont exclusivement conservees dans les re- 
gistres 28, le microcontroleur lit les trois registres 28 cor- 
respondant au numero d'interruption indique par le re- 
gistre 42, et verifie qu'au moins deux des registres 28 
45 sur trois sont identiques. II reecrit dans ce cas le troisie- 
me registre identique aux deux autres ; si les trois re- 
gistres sont differents, une valeur de compromis est ins- 
crite dans les trois registres. 

[0042] Si, en revanche, le parametre d'ajustement est 
50 inscrit dans une memoire non volatile telle que 1 4, alors 
le microcontroleur lit la valeur de r6f6rence de I'ajustage 
signaled par son num6ro d'interruption dans cette me- 
moire non volatile et reecrit cette valeur dans les trois 
registres 28 concerned (on preVoit dans ce cas une in- 
55 terruption masquable). 

[0043] En variante, au lieu de corriger specifiquement 
ceiui des registres qui a ete altere, on peut reecrire l'en- 
semble des registres 28 chaque fois qu'une alteration 
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est ctetectee. Cette maniere de proceder 6vite le recours 
aux circuits de codage des interruptions et de gestion 
des priorites 40 et 42 ; il est cependant necessaire, dans 
ce cas, de pr6voir une interruption masquable pendant 
toute la duree de la correction. 
[0044] On notera incidemment que, si Ton conserve 
en memoire non volatile les parametres d'ajustage, le 
systeme peut gerer non seulement la corruption des 
donnees par des phenomenes parasites, mais egale- 
ment les pertes transitoires d'alimentation. 
[0045] Lorsque le microcontroleur a acheve l'6tape de 
correction, il retablit la surveillance du systeme en auto- 
risant de nouveau la ligne d'interruption 22 affectee a la 
protection des ajustages. Si plusieurs demandes 
avaient ete enregistreds simultanement, apres que le 
microcontroleur ait traite la demande prioritaire, des la 
reautorisation le systeme de protection g6nere a nou- 
veau une demande avec un numero different dans le 
registre Reg_Num 42. 

[0046] Comme on I'aura compris, cette correction, ge- 
r6e par une simple interruption (prioritaire) du micropro- 
cesseur, est tres rapidement operee, typiquement en 
quelques millisecondes, temps tres court permettant de 
ne pas affecter le comportement physiologique du dis- 
positif medical actif. 

[0047] On notera par ailleurs que I'integrite* du syste- 
me est garantie mSme pendant la phase (tres courte) 
de correction par le microprocesseur de la donnee cor- 
rompue, grace au circuit majoritaire 30 qui continue a 
appliquer au module 24 la valeur correcte, contenue 
dans les registres non alteres. 



Revendications 

1 . Un dispositif medical actif, comprenant au moins un 
module (12) pour la mise en oeuvre d'une fonction 
du dispositif, ce module comportant un circuit (24) 
specifique a la fonction et dont un parametre est 
ajustable sous forme d'un mot numerique de N bits, 
dispositif caracterise en ce que chacun desdits mo- 
dules comprend : 



3. Le dispositif de la revendication 2, comportant une 
pluralite desdits modules, et dans lequel les si- 
gnaux d'interruption respectifs sont appliques au 
microcontroleur via des moyens (38, 40, 42) pour 

5 multiplexer, coder et gSrer les priorites de ces inter- 
ruptions. 

4. Le dispositif de la revendication 1 , comportant en 
outre des moyens de restauration du contenu du ou 

10 des registre(s) alt6r6(s) en cas de discordance de- 
tected par les moyens comparateurs. 

5. Le dispositif des revendications 1 et 4 prises en 
combinaison, dans lequel les moyens de restaura- 

15 tion sont des moyens pour rechercher une valeur 
concordante entre une pluralite de registres et re- 
copier cette valeur dans le registre alt6re\ 

6. Le dispositif de la revendication 4, dans lequel la 
20 valeur du parametre est egalement conserved dans 

une memoire non volatile (1 4) exterieure au module 
(12), et les moyens de restauration sont des 
moyens pour recopier dans le registre altere la va- 
leur lue dans cette memoire non volatile exterieure. 

25 

7. Le dispositif de la revendication 6, dans lequel les 
moyens de restauration recopient dans tous les re- 
gistres la valeur lue dans la memoire non volatile 
exterieure. 

30 



35 



40 



15 



au moins trois registres (28) de type volatil de 
N bits memorisant chacun ledit mot numerique, 45 
un circuit majoritaire (30) recevant en entr6e 
les contenus des registres et delivrant en sortie 
audit circuit sp6cifique (24) la valeur resultante 
comme parametre d'ajustement, et 
des moyens comparateurs (32, 36), pour com- 50 
parer les contenus respectifs des registres et 
produire un signal d'anomalie (IT^ IT 2 ... ITj ... 
ITJ en cas de discordance entre ces contenus. 

2. Le dispositif de la revendication 1 , dans lequel le 55 
dispositif medical actif est un dispositif a microcon- 
troleur (10), et le signal d'anomalie est un signal 
d'interruption appliqu6 au microcontroleur. 
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